[发明专利]一种基于WAPI的漫游认证和业务鉴权方法

摘要

本发明涉及一种基于WAPI的漫游认证和业务鉴权方法。本发明采用终端和无线接入点启用WAPI安全机制、终端关联到无线接入点、启动WAPI鉴别过程，获得业务鉴权信息等步骤，解决了在终端无法获取外网服务器证书建立信任关系的情况下，证书漫游认证的技术问题，提供了一种高安全性、便捷性的基于WAPI的漫游认证方法，同时本发明接入地鉴别服务器可以得到用户终端的业务鉴权信息，能根据该信息进行下一步的接入控制，为安全、可运营、可管理WAPI SOM网络(Secure，Operationable，Manageable WAPI network)解决方案提供了保障。

主权项

1、一种基于WAPI的漫游认证和业务鉴权方法，其特征在于：该方法包括以下步骤：1)终端和外网鉴别服务器所在网络的无线接入点启用WAPI安全机制，终端关联到无线接入点，启动WAPI鉴别过程；2)终端接入的外网鉴别服务器接收到所述的无线接入点的证书鉴别请求分组，根据终端的证书信息判断该终端是本地接入还是漫游接入，若为本地接入，则鉴别该终端证书的合法性并返回证书鉴别响应分组；若为漫游接入，则根据终端证书中的信任的家网鉴别服务器信息，在本地的外网鉴别服务器信任列表中查找该家网鉴别服务器，若在信任列表中查到该家网鉴别服务器，则发送证书漫游鉴别请求分组到该家网鉴别服务器；若在本地的信任列表中未查找到终端信任的家网鉴别服务器，则发送证书漫游鉴别请求分组到上一级中心根鉴别服务器；3)所述家网鉴别服务器或根鉴别服务器接收到证书漫游鉴别请求分组后，根据本地存储的策略验证该分组的消息鉴别字段，若验证不通过则丢弃该分组，若所述的接收鉴别服务器为家网鉴别服务器，则验证终端证书的合法性，若验证结果为成功，则查询本地保存的用户业务鉴权信息，包括终端类型等由证书鉴别结果和用户业务鉴权信息构造证书漫游鉴别响应分组，并返回证书漫游鉴别响应分组；若所述的接收鉴别服务器为根鉴别服务器，则根据证书漫游鉴别请求分组中终端信任的该鉴别服务器信息转发该证书漫游鉴别请求分组的证书漫游鉴别响应分组给适合的鉴别服务器，若找不到适合的鉴别服务器，则丢弃证书漫游鉴别请求分组；4)所述根鉴别服务器或外网鉴别服务器接收到证书漫游鉴别响应分组后，根据本地存储的策略验证该分组的消息鉴别字段，若验证不通过则丢弃该分组，若所述的接收鉴别服务器为根鉴别服务器，则根据证书漫游鉴别响应中接入地的鉴别服务器信息，重新构造证书漫游鉴别响应分组中的消息鉴别，并转发重新构造的证书漫游鉴别响应分组给适合的该鉴别服务器；若所述的接收鉴别服务器为外网鉴别服务器，则解析该分组，并按照WLAN国标的相关格式返回证书鉴别响应分组给所述的无线接入点，并在本地保存用户终端的业务鉴权信息，若接收到访问控制器的用户鉴权信息查询请求，则把保存的用户鉴权信息返回给访问控制器；5)所述的无线接入点和终端根据返回的证书鉴别结果进行相应的接入控制。